Medidas técnicas y organizativas de seguridad

Versión: 1.0
Fecha: 3 de noviembre de 2026

Apéndice al acuerdo de encargo del tratamiento de los Términos y condiciones (artículo 32 del RGPD). Describe las medidas aplicadas a los datos que el Cliente incorpora a Licencia.ai.

1. Alojamiento

La aplicación, la base de datos y los documentos se alojan en Amazon Web Services, en la región de España (eu-south-2, Aragón).
La base de datos no es accesible públicamente desde Internet: solo la consulta la aplicación desde la red privada.

2. Cifrado

En tránsito: todo el acceso a la plataforma se hace por HTTPS (TLS).
En reposo: la base de datos y sus copias de seguridad están cifradas; los documentos subidos se guardan cifrados (AES-256) en un almacenamiento con el acceso público bloqueado.
Las contraseñas se guardan con un algoritmo de hash adaptativo; nunca en claro. Las claves de API solo se guardan como huella criptográfica (SHA-256) y se muestran una única vez al crearlas.
Los pagos se procesan en las páginas de Stripe: Licencia.ai no recibe ni guarda los datos de las tarjetas.

3. Control de acceso

Cada despacho solo accede a sus propios proyectos, conversaciones, documentos y base de conocimiento; dentro del equipo, según el rol asignado por el titular (administración, edición o solo lectura).
El acceso del equipo de Licencia.ai a una cuenta para dar soporte requiere permisos de administración y se hace solo cuando el soporte lo necesita.
Los formularios están protegidos frente a falsificación de peticiones (CSRF) y las altas, formularios y API tienen límites de uso para frenar abusos.

4. Disponibilidad y recuperación

Copias de seguridad automáticas diarias de la base de datos, conservadas 7 días, con restauración a un momento concreto dentro de ese plazo.
Los despliegues se hacen sin interrupción del servicio y con posibilidad de volver a la versión anterior.

5. Registro y vigilancia

Los errores de la aplicación se registran y notifican al equipo técnico para su corrección.
Se registra el uso de la inteligencia artificial por cuenta (función, volumen y fecha) para el control del servicio y de los límites del plan.

6. Inteligencia artificial

Los documentos y textos del Cliente se envían al proveedor de IA solo para generar la respuesta pedida, con las condiciones de su servicio para empresas (sin uso para entrenar sus modelos).
La base de conocimiento privada de un despacho no se usa para responder a otros despachos.

7. Medidas organizativas

Acceso a los sistemas de producción limitado al personal técnico que lo necesita.
Obligación de confidencialidad de las personas autorizadas a tratar los datos.
Los subencargados que intervienen se recogen en la lista de subencargados.